نظام حماية البيانات الشخصية وسدايا: ما يلزم موقعك بعد بدء التطبيق الفعلي

أصبح نظام حماية البيانات الشخصية في المملكة واجب التطبيق منذ 14 سبتمبر 2024، ومع مطلع 2026 كانت سدايا قد أصدرت نحو 48 قراراً. وخلافاً لعدد من الأنظمة في المنطقة، لهذا النظام سجل تطبيق فعلي — ونمطه متسق بما يكفي للتخطيط على أساسه.

ما هي العقوبات

أمران يميزان هذه الصورة عن نظيرتها الإماراتية. الأول أن المبالغ منصوص عليها في النظام نفسه لا مُحالة إلى قرار لاحق، فيمكن ذكرها دون تحفظ. والثاني أن المسؤولية الجزائية تلحق بالأشخاص لا بالمنشأة وحدها.

القاسم المشترك بين قرارات التطبيق

عبر القرارات الصادرة حتى الآن، تتكرر أربعة أسباب:

الموافقة هي الأصل، وهذا يغيّر التصميم

يعتمد النظام السعودي على الموافقة كأساس نظامي افتراضي بدرجة أكبر من الأنظمة المبنية على المصلحة المشروعة. وعملياً بالنسبة لموقع إلكتروني:

• لكل غرض موافقته. تنفيذ الطلب، وإرسال التسويق، وتشغيل التحليلات ثلاثة أغراض. وخانة واحدة تغطيها جميعاً هي أشيع خطأ في التصميم.
• سحب الموافقة يجب أن يعمل. إذا كان الاشتراك بنقرة وإلغاؤه برسالة إلى الدعم، فتلك مخالفة تنتظر أن تُرصد.
• البيانات الحساسة ترفع المخاطر. البيانات الصحية والحيوية والدينية والعرقية تنقلك إلى نطاق المادة 35، حيث تصبح المسؤولية جزائية لا مالية فقط.

نقل البيانات خارج المملكة

لنقل البيانات خارج المملكة شروط خاصة، وهنا تخرج المنظومات المعتمدة على خدمات سحابية من الامتثال بهدوء. قد يكون نظام إدارة العملاء والتحليلات ومكتب الدعم ومزوّد البريد والاستضافة خارج المملكة جميعاً. كل واحد منها عملية نقل تحتاج أساساً يمكنك الإشارة إليه. والإخفاق ليس في الرفض — بل في عدم التوثيق أصلاً.

مهلة الـ72 ساعة

الإخطار مستحق خلال 72 ساعة من العلم بخرق يشكّل خطراً. ولذلك ثلاث نتائج عملية:

1. «العلم» يبدأ المهلة، فوثّق لحظة الاكتشاف عمداً. الفريق الذي لا يستطيع تحديد وقت علمه يتفاوض من موقع ضعيف.
2. لا يمكن الإخطار بدقة دون سجلات. مدة حفظ تكفي لإعادة بناء ما جرى بلوغه ليست رفاهية تشغيلية؛ هي ما يحدد إن كان تقريرك واقعاً أم تخميناً.
3. احفظ قبل أن تعالج. مسح الخادم يتلف الدليل الذي يحدد النطاق، وسيبقى عليك شرح الحادثة بعد ذلك.

ما يجب إصلاحه في الموقع نفسه

قائمة التحقق

1. تأكد من وقوعك ضمن النطاق: أي بيانات شخصية لأفراد مقيمين في المملكة.
2. اربط كل نموذج وكل غرض بأساس نظامي، وافصل موافقة التسويق.
3. اجعل سحب الموافقة بسهولة منحها، واختبر المسار من أوله إلى آخره.
4. احصر كل عمليات النقل خارج المملكة ووثّق أساس كل منها.
5. حدّد البيانات الحساسة لديك — الصحية والحيوية وما شابه — وقيّد الوصول إليها على حدة.
6. اختبر الموقع من الخارج بحثاً عن الحقن، وكسر التحكم في الوصول إلى سجلات الآخرين، ولوحات الإدارة والنسخ الاحتياطية المكشوفة، والمكوّنات القديمة.
7. تحقق من أدوات التتبع التي تعمل قبل الموافقة.
8. سمِّ الشخص الذي يُخطر سدايا، وجهّز نموذج الإخطار مسبقاً.
9. فعّل التسجيل بمدة حفظ تكفي للتحقيق خلال 72 ساعة.
10. أعد الاختبار بعد الإصلاح، واجعل الفحص التقني دورياً.